[보안업데이트-13] 티켓 갱신 요청 받아들여지면 서비스 거부 발생

MS10-014, Kerberos 취약점으로 인한 서비스 거부 문제점

<순서>

1. 보안업데이트 무시하고 있지는 않나요?

2. 오피스 취약점, 공격자는 PC 완전제어 가능

3. 파워포인트 취약점, 서버가 더 위험할 수 있어

4. 페인트 취약점, JPEG로 공격자 로컬사용자 권한 얻어

5. SMB 취약점, 서비스 거부도 유발 가능

6. 윈도우 셸 처리기 취약점, 사용자 컨텍스트 악용 가능

7. 액티브X 취약점, Kill 비트 설정해 해결

8. TCP/IP 취약점, IPv6 사용 모든 OS 위험에 노출돼

9. 하이퍼-V 취약점, 가상서버 악용 연결 PC들 서비스거부 유발

10. CSRSS 취약점, 필수 하위 시스템의 사용자 모드 권한 획득

11. SMB 취약점, SMB 패킷 보내 PC 악용

12. DirectShow 취약점, 동영상(AVI) 파일 여는 순간 위험

13. Kerberos 취약점, 티켓 갱신 요청 받아들여지면 서비스거부 발생

14. 커널 취약점, 운영체제 핵심인 커널이 특정 예외 잘못 처리

15. MS가 말하는 ‘보안업데이트’의 중요성

MS10-014(중요) 보안공지와 관련한 보안 업데이트는 비공개적으로 보고된 윈도우 취약점을 해결한다. 신뢰할 수 있는 비 윈도우 Kerberos 영역의 인증된 사용자로부터 특수하게 조작된 티켓 갱신 요청이 윈도우 Kerberos 도메인으로 보내질 경우 이 취약점으로 인해 서비스 거부가 발생할 수 있다. 특히 그렇게 발생한 서비스 거부는 도메인 컨트롤러가 다시 시작될 때까지 지속될 수 있다.

심각도 및 취약점-Kerberos Null 포인터 역참조 취약점(CVE-2010-0035)

Kerberos 구현에 서비스 거부 취약점이 존재한다. 이 취약점은 혼합 모드 Kerberos 구현에서 원격 비 윈도우 영역의 클라이언트에 의한 TGT(Ticket-Granting-Ticket) 갱신 요청을 절적할게 처리하지 못해 발생하며, 취약점 악용에 성공한 공격자는 영향을 받는 윈도우 도메인 컨트롤러가 응답을 중지하도록 만들 수 있다.

다만 이 취약점은 도메인 컨트롤러에만 영향을 주며, 도메인 컨트롤러의 역할을 수행하지 않는 서버는 영향을 받지 않는다.

한편 이와 관련한 보다 자세한 사항이나 보안업데이트는 MS 테크넷 홈페이지(www.microsoft.com/korea/technet/security/bulletin/ms10-014.mspx)에서 확인할 수 있다.

■ 용어해설(MS10-014 보안공지 참조)

Kerberos 보안되지 않은 개방형 네트워크에서 사용자 및 서비스를 상호 인증하는데 사용되는 프로토콜로, 이를 통해 서비스는 해당 서비스에서 사용자를 인증하지 않고도 Kerberos 티켓 사용자를 올바르게 식별할 수 있으며 이 작업은 공유 보안 키를 사용해 수행된다.

Kerberos 프로토콜에서는 공유 보안 키를 사용해 사용자의 자격 증명을 암호화하고 서명한다. 클라이언트는 Kerberos KDC(키 배포 센터)에서 인증되며, 이 인증 후 사용자는 네트워크의 특정 서비스에 액세스하기 위한 서비스 티켓을 요청할 수 있다. 이 티켓에는 사용자의 암호화되고 인증된 ID가 포함된다.

TGT(Ticket-Granting-Ticket) Kerberos에서 클라이언트에는 KDC에 의해 한번의 특정 로그온 세션에만 유효한 임시 키가 지정된다. 사용자가 로그온하면 클라이언트는 기타 모든 서비스에 대한 티켓을 요청하듯이 KDC에 대한 티켓을 요청한다. KDC에서는 KDC 전체 티켓 부여 서비스인 특수 서버에 대한 로그온 세션 키 및 티켓을 생성해 응답한다. 하나의 로그온 세션 키 사본이 티켓에 포함되며, 티켓은 KDC의 마스터 키로 암호화되며, 또 하나의 로그온 세션 키 사본은 사용자의 로그온 암호에서 파생된 사용자의 마스터 키로 암호화된다. 이 티켓과 암호화된 세션 키가 모두 클라이언트로 보내진다.

클라이언트가 KDC의 응답을 받으면 사용자의 암호에서 파생된 사용자의 마스터 키로 로그온 세션 키를 해독한다. 클라이언트는 이제 로그온 세션 키를 사용해 KDC에서 받는 모든 서버 세션 키 사본을 해독할 수 있으므로 사용자의 암호에서 파생된 키가 더 이상 필요하지 않다. 클라이언트는 KDC의 전체 티켓 부여 서비스에 대한 티켓과 함께 로그온 세션 키를 티켓 캐시에 저장한다. 전체 티켓 부여 서비스에 대한 티켓을 TGT라고 한다.

[김정완 기자(boan3@boannews.com)]

최근 발생한 크라우드 스트라이크의 보안 SW 업데이트 오류 사태처럼 SW 공급망에 보안이슈가 발생할 경우 관련된 각종 시스템 및 IT 인프라 마비가 일어날 수 있다는 게 드러났습니다. 이러한 공급망 보안을 위협하는 가장 큰 요인은 무엇이라고 생각하시나요?
	랜섬웨어, 피싱 등의 사이버 공격
	SW 업데이트 및 SW 교체 과정에서의 오류
	SW 자체에 존재하는 보안 취약점
	시스템 관리자의 운영상 실수 및 관리 미흡
	기타(댓글로)